https://www.informationsecurity.com.tw/seminar/2021twcert/
https://www.informationsecurity.com.tw/seminar/2021twcert/

觀點

金融健檢的喜與愁

2015 / 05 / 19
侍家驊
金融健檢的喜與愁
    金融行業一直是國內資安的重要市場之一,行業特性及主管機關的積極管理作為,是主要的驅動力。我還記得早期採訪一位銀行CEO,他同時也是從CIO晉升到CEO,與我碰頭開場白就是『我們銀行賣的是Trust!』。

    繼政府部門的健檢活動之後,金管會也開始要求金融單位執行健檢活動,要求範圍更大更細。金融單位長時間來,在資安的投入一直都持續不斷。但這次健檢是一個較全面的檢視,的確是一個好的做法,檢視各金融單位的資訊體質及資安做法。

    主管機關的要求,帶動資安業界的超級大餅。不單單是原本提供資安服務的廠商躍躍欲試,還吸引了不少新面孔進入這個市場,一片春回大地。

    根據過去的經驗,來的太快的需求,常常伴隨一些不必要的副作用,這次仍然無法倖免。我們最不願看到的殺價競爭,無意外地在金融環境再次上演。無論是為了守住江山的廠家、為了爭取版圖的商家、延續殺價DNA的廠家、或是搞不清楚服務範圍先搶單再說的廠商,市場未完全打開,就已經血腥殺戮。即使幾個指標性的銀行案子,依然出現驚人低價,可怕的參考效應,就這樣瀰漫開來。

    比較慘的問題是,服務品質很難具體衡量。低價搶標之後,廠家出具一些報告來完成主管機關的要求,但銀行本身能否達到這項服務的原本目的,無從檢視。

    國內具備這種能量的廠家蠻有限的,願意切實做好的廠家相信更少。還未找到合適服務廠家的銀行,可能要快了,否則可能找不到專業的廠家提供服務。

    另一個必要的提醒,這次的健檢,服務的廠商勢必深入觀看所有系統。銀行的許 多過去不曝光的系統或資料,可能會被近距離檢視。如何確認廠商的誠信與道德? 甚或廠商員工的私德如何保證? 參與的員工如果離職了,這些資訊如何維護? 在這個資安素養,還不算太好的大環境下,的確令人憂心.

    當然,另一個好消息則是,資安人才的需求,真的打開了,對於資安有興趣的人,現在確是投入或繼續進修的好時機,無論台灣、甚至全世界,都是全面閃著綠燈。寄望更多優秀資安人才進來,帶來新視野、帶進好態度,畢竟威脅與技術不斷更新的領域,資安服務業者應該引領市場、引領客戶,走向正確的方向。